CVE-2026-9082

Crítica9.8 Publicada el 20 may 2026

Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') vulnerability in Drupal Drupal core allows SQL Injection. This issue affects Drupal core: from 8.9.0 before 10.4.10, from 10.5.0 before 10.5.10, from 10.6.0 before 10.6.9, from 11.0.0 before 11.1.10, from 11.2.0 before 11.2.12, from 11.3.0 before 11.3.10.

Explotada activamente

En el catálogo CISA de vulnerabilidades explotadas desde el 22 may 2026
Las agencias federales de EE. UU. deben corregirla antes del 27 may 2026 (BOD 22-01)
Primer ataque observado 1 día después de la divulgación
Confirmada por sensores, no solo por informes

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

Fuente: CISA KEV · 11 jun 2026 25 may 2026 22 may 2026 22 may 2026

Puntuación CVSS9.8 / 10CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Tipo de debilidad (CWE)CWE-89

Fabricantesdrupal